મતદાન નિષ્ફળ થયું: ચાલો AgentTesla ને સ્વચ્છ પાણી માટે ખુલ્લા કરીએ. ભાગ 3

આ લેખ સાથે અમે દૂષિત સૉફ્ટવેરના વિશ્લેષણ માટે સમર્પિત પ્રકાશનોની શ્રેણી પૂર્ણ કરીએ છીએ. IN પ્રથમ ભાગ અમે યુરોપિયન કંપનીને મેઇલ દ્વારા પ્રાપ્ત થયેલી ચેપગ્રસ્ત ફાઇલનું વિગતવાર વિશ્લેષણ કર્યું અને ત્યાં AgentTesla સ્પાયવેરની શોધ કરી. માં બીજો ભાગ મુખ્ય એજન્ટટેસ્લા મોડ્યુલના પગલા-દર-પગલાના વિશ્લેષણના પરિણામો વર્ણવ્યા છે.

આજે CERT Group-IBના માલવેર વિશ્લેષણના નિષ્ણાત ઇલ્યા પોમેરન્ટસેવ, માલવેર વિશ્લેષણના પ્રથમ તબક્કા વિશે વાત કરશે - CERT Group-IB નિષ્ણાતોની પ્રેક્ટિસમાંથી ત્રણ મિની-કેસના ઉદાહરણનો ઉપયોગ કરીને એજન્ટટેસ્લા નમૂનાઓનું અર્ધ-સ્વચાલિત અનપેકિંગ.

સામાન્ય રીતે, માલવેર વિશ્લેષણનો પ્રથમ તબક્કો એ પેકર, ક્રિપ્ટર, રક્ષક અથવા લોડરના સ્વરૂપમાં રક્ષણને દૂર કરવાનો છે. મોટાભાગના કિસ્સાઓમાં, આ સમસ્યા મૉલવેર ચલાવીને અને ડમ્પ કરીને ઉકેલી શકાય છે, પરંતુ એવી પરિસ્થિતિઓ છે જ્યાં આ પદ્ધતિ યોગ્ય નથી. ઉદાહરણ તરીકે, જો માલવેર એન્ક્રિપ્ટર છે, જો તે તેના મેમરી વિસ્તારોને ડમ્પ થવાથી સુરક્ષિત કરે છે, જો કોડમાં વર્ચ્યુઅલ મશીન ડિટેક્શન મિકેનિઝમ્સ છે, અથવા જો માલવેર શરૂ થયા પછી તરત જ રીબૂટ થાય છે. આવા કિસ્સાઓમાં, કહેવાતા "અર્ધ-સ્વચાલિત" અનપેકિંગનો ઉપયોગ થાય છે, એટલે કે, સંશોધક પાસે પ્રક્રિયા પર સંપૂર્ણ નિયંત્રણ હોય છે અને તે કોઈપણ સમયે દરમિયાનગીરી કરી શકે છે. ચાલો ઉદાહરણ તરીકે એજન્ટટેસ્લા પરિવારના ત્રણ નમૂનાઓનો ઉપયોગ કરીને આ પ્રક્રિયાને ધ્યાનમાં લઈએ. જો તમે તેની નેટવર્ક ઍક્સેસને અક્ષમ કરો છો તો આ પ્રમાણમાં હાનિકારક માલવેર છે.

નમૂના નંબર 1

સ્ત્રોત ફાઇલ એ MS વર્ડ દસ્તાવેજ છે જે નબળાઈ CVE-2017-11882નો ઉપયોગ કરે છે.

પરિણામે, પેલોડ ડાઉનલોડ અને લોન્ચ થાય છે.

પ્રક્રિયા વૃક્ષ અને વર્તન માર્કર્સનું વિશ્લેષણ પ્રક્રિયામાં ઇન્જેક્શન દર્શાવે છે RegAsm.exe.

AgentTesla ની લાક્ષણિકતા વર્તણૂકીય માર્કર છે.

ડાઉનલોડ કરેલ નમૂના એક્ઝેક્યુટેબલ છે નેટ- પ્રોટેક્ટર દ્વારા સુરક્ષિત ફાઇલ .NET રિએક્ટર.

ચાલો તેને ઉપયોગિતામાં ખોલીએ dnSpy x86 અને એન્ટ્રી પોઈન્ટ પર આગળ વધો.

ફંક્શનમાં જઈને DateTimeOffset, અમને નવા માટે પ્રારંભિક કોડ મળશે નેટ- મોડ્યુલ. ચાલો મૂકીએ બ્રેકપોઇન્ટ અમને રસ છે તે લાઇન પર અને ફાઇલ ચલાવો.

પરત આવેલા બફરમાંથી એકમાં તમે MZ સહી જોઈ શકો છો (0x4D 0x5A). ચાલો તેને સાચવીએ.

ડમ્પ કરેલી એક્ઝિક્યુટેબલ ફાઇલ એ ડાયનેમિક લાઇબ્રેરી છે જે લોડર છે, એટલે કે. સંસાધન વિભાગમાંથી પેલોડ કાઢે છે અને તેને લોન્ચ કરે છે.

તે જ સમયે, જરૂરી સંસાધનો પોતે ડમ્પમાં હાજર નથી. તેઓ પિતૃ નમૂનામાં છે.

ઉપયોગિતા dnSpy બે અત્યંત ઉપયોગી કાર્યક્ષમતા ધરાવે છે જે અમને બે સંબંધિત ફાઇલોમાંથી ઝડપથી "ફ્રેન્કેસ્ટાઇન" બનાવવામાં મદદ કરશે.

1. પ્રથમ તમને પિતૃ નમૂનામાં ગતિશીલ લાઇબ્રેરીને "પેસ્ટ" કરવાની મંજૂરી આપે છે.

   

2. બીજું દાખલ કરેલ ડાયનેમિક લાઇબ્રેરીની ઇચ્છિત પદ્ધતિને કૉલ કરવા માટે એન્ટ્રી પોઇન્ટ પર ફંક્શન કોડને ફરીથી લખવાનું છે.

   

અમે અમારા "ફ્રેન્કેસ્ટાઇન" ને સાચવીએ છીએ, સેટ બ્રેકપોઇન્ટ ડિક્રિપ્ટેડ સંસાધનો સાથે બફર પરત કરતી લાઇન પર, અને અગાઉના તબક્કા સાથે સામ્યતા દ્વારા ડમ્પ ઉત્પન્ન કરો.

બીજા ડમ્પમાં લખેલું છે વી.બી.નેટ એક્ઝિક્યુટેબલ ફાઇલ કે જે અમને પરિચિત રક્ષક દ્વારા સુરક્ષિત છે કન્ફ્યુઝરએક્સ.

રક્ષકને દૂર કર્યા પછી, અમે અગાઉ લખેલા YARA નિયમોનો ઉપયોગ કરીએ છીએ અને ખાતરી કરીએ છીએ કે અનપેક્ડ માલવેર ખરેખર AgentTesla છે.

નમૂના નંબર 2

સ્ત્રોત ફાઇલ એક MS Excel દસ્તાવેજ છે. બિલ્ટ-ઇન મેક્રો દૂષિત કોડના અમલનું કારણ બને છે.

પરિણામે, પાવરશેલ સ્ક્રિપ્ટ લોંચ થાય છે.

સ્ક્રિપ્ટ C# કોડને ડિક્રિપ્ટ કરે છે અને તેના પર નિયંત્રણ સ્થાનાંતરિત કરે છે. કોડ પોતે બુટલોડર છે, જે સેન્ડબોક્સ રિપોર્ટમાંથી પણ જોઈ શકાય છે.

પેલોડ એક્ઝિક્યુટેબલ છે નેટ-ફાઈલ.

માં ફાઇલ ખોલી રહ્યા છીએ dnSpy x86, તમે જોઈ શકો છો કે તે અસ્પષ્ટ છે. યુટિલિટીનો ઉપયોગ કરીને અસ્પષ્ટતા દૂર કરવી de4dot અને વિશ્લેષણ પર પાછા ફરો.

કોડની તપાસ કરતી વખતે, તમે નીચેનું કાર્ય શોધી શકો છો:

એન્કોડેડ રેખાઓ આઘાતજનક છે પ્રવેશ બિંદુ и આમંત્રણ આપો. અમે મૂક્યુ બ્રેકપોઇન્ટ પ્રથમ લાઇન પર, બફર મૂલ્ય ચલાવો અને સાચવો byte_0.

ડમ્પ ફરીથી એક એપ્લિકેશન છે નેટ અને સુરક્ષિત કન્ફ્યુઝરએક્સ.

અમે ઉપયોગ કરીને અસ્પષ્ટતાને દૂર કરીએ છીએ de4dot અને પર અપલોડ કરો dnSpy. ફાઇલના વર્ણનથી આપણે સમજીએ છીએ કે આપણે સામનો કરી રહ્યા છીએ CyaX-શાર્પ લોડર.

આ લોડરમાં વ્યાપક એન્ટિ-વિશ્લેષણ કાર્યક્ષમતા છે.

આ કાર્યક્ષમતામાં બિલ્ટ-ઇન વિન્ડોઝ પ્રોટેક્શન સિસ્ટમ્સને બાયપાસ કરવું, વિન્ડોઝ ડિફેન્ડરને અક્ષમ કરવું, તેમજ સેન્ડબોક્સ અને વર્ચ્યુઅલ મશીન ડિટેક્શન મિકેનિઝમ્સ શામેલ છે. નેટવર્કમાંથી પેલોડ લોડ કરવું અથવા તેને સંસાધન વિભાગમાં સંગ્રહિત કરવું શક્ય છે. લોંચ તેની પોતાની પ્રક્રિયામાં, તેની પોતાની પ્રક્રિયાના ડુપ્લિકેટમાં અથવા પ્રક્રિયાઓમાં ઇન્જેક્શન દ્વારા કરવામાં આવે છે MSBuild.exe, vbc.exe и RegSvcs.exe હુમલાખોર દ્વારા પસંદ કરેલ પરિમાણ પર આધાર રાખીને.

જો કે, અમારા માટે તેઓ કરતાં ઓછા નોંધપાત્ર છે એન્ટિડમ્પ- કાર્ય જે ઉમેરે છે કન્ફ્યુઝરએક્સ. તેનો સોર્સ કોડ અહીંથી મળી શકે છે GitHub.

સંરક્ષણને અક્ષમ કરવા માટે, અમે તકનો ઉપયોગ કરીશું dnSpy, જે તમને સંપાદિત કરવાની મંજૂરી આપે છે IL-કોડ.

સાચવો અને ઇન્સ્ટોલ કરો બ્રેકપોઇન્ટ પેલોડ ડિક્રિપ્શન ફંક્શનને કૉલ કરવાની લાઇન પર. તે મુખ્ય વર્ગના કન્સ્ટ્રક્ટરમાં સ્થિત છે.

અમે પેલોડ લોન્ચ અને ડમ્પ કરીએ છીએ. અગાઉ લખેલા YARA નિયમોનો ઉપયોગ કરીને, અમે ખાતરી કરીએ છીએ કે આ AgentTesla છે.

નમૂના નંબર 3

સ્ત્રોત ફાઇલ એક્ઝેક્યુટેબલ છે VB મૂળ PE32-ફાઈલ.

એન્ટ્રોપી વિશ્લેષણ એન્ક્રિપ્ટેડ ડેટાના મોટા ભાગની હાજરી દર્શાવે છે.

માં અરજી ફોર્મનું વિશ્લેષણ કરતી વખતે વીબી ડીકમ્પાઇલર તમે વિચિત્ર પિક્સેલેટેડ પૃષ્ઠભૂમિ જોઈ શકો છો.

એન્ટ્રોપી ગ્રાફ bmp-ઇમેજ મૂળ ફાઇલના એન્ટ્રોપી ગ્રાફ સમાન છે, અને કદ ફાઇલના કદના 85% છે.

છબીનો સામાન્ય દેખાવ સ્ટેગનોગ્રાફીનો ઉપયોગ સૂચવે છે.

ચાલો પ્રક્રિયા વૃક્ષના દેખાવ પર ધ્યાન આપીએ, તેમજ ઇન્જેક્શન માર્કરની હાજરી.

આ સૂચવે છે કે અનપેકીંગ ચાલુ છે. વિઝ્યુઅલ બેઝિક લોડર્સ માટે (ઉર્ફ VBKrypt અથવા VBI ઇન્જેક્ટર) લાક્ષણિક ઉપયોગ શેલકોડ પેલોડ શરૂ કરવા માટે, તેમજ ઈન્જેક્શન પોતે કરવા માટે.

માં વિશ્લેષણ વીબી ડીકમ્પાઇલર ઘટનાની હાજરી દર્શાવી લોડ ફોર્મ પર ફેગાટાસોકએર બલૂન2.

ચાલો જઈએ IDA પ્રો ઉલ્લેખિત સરનામાં પર જાઓ અને કાર્યનો અભ્યાસ કરો. કોડ ભારે અસ્પષ્ટ છે. અમને રુચિ છે તે ટુકડો નીચે પ્રસ્તુત છે.

અહીં પ્રક્રિયાની સરનામાની જગ્યા સહી માટે સ્કેન કરવામાં આવે છે. આ અભિગમ અત્યંત શંકાસ્પદ છે.

પ્રથમ, સ્કેનિંગ પ્રારંભ સરનામું 0x400100. આ મૂલ્ય સ્થિર છે અને જ્યારે આધારને સ્થાનાંતરિત કરવામાં આવે ત્યારે એડજસ્ટ થતું નથી. આદર્શ ગ્રીનહાઉસ પરિસ્થિતિઓમાં તે અંત સૂચવે છે PE- એક્ઝેક્યુટેબલ ફાઇલનું હેડર. જો કે, ડેટાબેઝ સ્થિર નથી, તેનું મૂલ્ય બદલાઈ શકે છે, અને જરૂરી હસ્તાક્ષરનું વાસ્તવિક સરનામું શોધવામાં, જો કે તે વેરિયેબલ ઓવરફ્લોનું કારણ બનશે નહીં, તે ઘણો લાંબો સમય લઈ શકે છે.

બીજું, હસ્તાક્ષરનો અર્થ iWGK. મને લાગે છે કે તે સ્પષ્ટ છે કે વિશિષ્ટતાની ખાતરી આપવા માટે 4 બાઇટ્સ ખૂબ નાના છે. અને જો તમે પ્રથમ મુદ્દાને ધ્યાનમાં લો છો, તો ભૂલ કરવાની સંભાવના ઘણી વધારે છે.

હકીકતમાં, જરૂરી ટુકડો અગાઉ મળેલા અંત સાથે જોડાયેલ છે bmp- ઓફસેટ દ્વારા ચિત્રો 0xA1D0D.

પ્રદર્શન શેલકોડ બે તબક્કામાં હાથ ધરવામાં આવે છે. પ્રથમ મુખ્ય ભાગને ડિસિફર કરે છે. આ કિસ્સામાં, કી જડ બળ દ્વારા નક્કી કરવામાં આવે છે.

ડિક્રિપ્ટેડને ડમ્પ કરો શેલકોડ અને લીટીઓ જુઓ.

પ્રથમ, હવે આપણે બાળ પ્રક્રિયા બનાવવાનું કાર્ય જાણીએ છીએ: CreateProcessInternalW.

બીજું, અમે સિસ્ટમમાં ફિક્સેશનની પદ્ધતિથી વાકેફ થયા.

ચાલો મૂળ પ્રક્રિયા પર પાછા જઈએ. ચાલો મૂકીએ બ્રેકપોઇન્ટ પર CreateProcessInternalW અને અમલ ચાલુ રાખો. આગળ આપણે કનેક્શન જોઈએ છીએ NtGetContextThread/NtSetContextThread, જે એક્ઝેક્યુશન સ્ટાર્ટ એડ્રેસને એડ્રેસમાં બદલે છે શેલકોડ.

અમે ડીબગર વડે બનાવેલ પ્રક્રિયા સાથે કનેક્ટ કરીએ છીએ અને ઇવેન્ટને સક્રિય કરીએ છીએ લાઇબ્રેરી લોડ/અનલોડ પર સસ્પેન્ડ કરો, પ્રક્રિયા ફરી શરૂ કરો અને લોડ થવાની રાહ જુઓ નેટ- પુસ્તકાલયો.

વધુ ઉપયોગ કરીને પ્રોસેસહેકર ડમ્પ પ્રદેશો જેમાં પેક વગરનું હોય છે નેટ- અરજી.

અમે બધી પ્રક્રિયાઓ બંધ કરીએ છીએ અને સિસ્ટમમાં એમ્બેડ થયેલા માલવેરની નકલ કાઢી નાખીએ છીએ.

ડમ્પ કરેલી ફાઇલ રક્ષક દ્વારા સુરક્ષિત છે .NET રિએક્ટર, જે યુટિલિટીનો ઉપયોગ કરીને સરળતાથી દૂર કરી શકાય છે de4dot.

અગાઉ લખેલા YARA નિયમોનો ઉપયોગ કરીને, અમે ખાતરી કરીએ છીએ કે આ AgentTesla છે.

ચાલો સારાંશ કરીએ

તેથી, અમે ઉદાહરણ તરીકે ત્રણ મિની-કેસનો ઉપયોગ કરીને સેમી-ઓટોમેટિક સેમ્પલ અનપેકિંગની પ્રક્રિયાનું વિગતવાર નિદર્શન કર્યું, અને સંપૂર્ણ કેસના આધારે માલવેરનું વિશ્લેષણ પણ કર્યું, તે શોધી કાઢ્યું કે અભ્યાસ હેઠળનો નમૂનો એજન્ટટેસ્લા છે, તેની કાર્યક્ષમતા સ્થાપિત કરી અને સમાધાનના સૂચકોની સંપૂર્ણ સૂચિ.

અમે જે દૂષિત ઑબ્જેક્ટનું વિશ્લેષણ કર્યું છે તેના માટે ઘણો સમય અને પ્રયત્નોની જરૂર છે, અને આ કાર્ય કંપનીના વિશેષ કર્મચારી દ્વારા થવું જોઈએ, પરંતુ બધી કંપનીઓ વિશ્લેષકને નિયુક્ત કરવા તૈયાર નથી.

કોમ્પ્યુટર ફોરેન્સિક્સ અને દૂષિત કોડ વિશ્લેષણની ગ્રુપ-આઈબી લેબોરેટરી દ્વારા પૂરી પાડવામાં આવતી સેવાઓમાંની એક સાયબર ઘટનાઓનો પ્રતિસાદ છે. અને જેથી ગ્રાહકો સાયબર હુમલાની વચ્ચે દસ્તાવેજો મંજૂર કરવામાં અને તેમની ચર્ચા કરવામાં સમય બગાડે નહીં, ગ્રુપ-આઈબીએ લોન્ચ કર્યું ઇન્સિડેન્ટ રિસ્પોન્સ રિટેનર, એક પૂર્વ-સબ્સ્ક્રિપ્શન ઘટના પ્રતિસાદ સેવા જેમાં માલવેર વિશ્લેષણ પગલું પણ શામેલ છે. આ વિશે વધુ માહિતી મળી શકે છે અહીં.

જો તમે ફરી એકવાર AgentTesla નમૂનાઓ કેવી રીતે અનપેક કરવામાં આવે છે તેનો અભ્યાસ કરવા માંગતા હોવ અને CERT Group-IB નિષ્ણાત તે કેવી રીતે કરે છે તે જોવા માંગતા હો, તો તમે આ વિષય પર વેબિનાર રેકોર્ડિંગ ડાઉનલોડ કરી શકો છો. અહીં.

સોર્સ: www.habr.com